PIM - Privileged Identity Management

in data

 Buongiorno a tutti, in questo nuovo articolo, parleremo del PIM e di come può aiutarci a proteggere l'identità, ovvero i nostri utenti per l'accesso, anche in modo amministrativo alle risorse aziendali. Questo servizio offerto da Microsoft, ci permette di:

  • Gestire
  • Monitorare
  • Controllare
L'accesso alle nostre risorse aziendali.
E' comunque fondamentale spiegare, che questa funzionalità è compresa in piani di Licensing che comprendono al loro interno Azure Active Directory Premium P2, ed è usata soprattutto per questi motivi:

  • un attore malintenzionato che ottiene l'accesso
  • un utente autorizzato influisce inavvertitamente su una risorsa sensibile
E' fondamentale per l'organizzazione ridurre sempre la superfice di attacco, questo ci permette di ridurre in modo considerevole la possibilità di essere in qualche modo "bucati".
La soluzione che andremo a vedere difende l'identità, che per Microsoft è alla base di tutto, in quanto primo veicolo di accesso alla nostra organizzazione.

In questa schermata abbiamo proprio visione, di quanto detto in precedenza, ed in questo articolo vedremo le tre funzionalità nel dettaglio.

Osserviamo ora la parte pratica della soluzione, per capire come funziona dal punto di vista degli amministratori e quale è l'esperienza lato utente.


Nella schermata sopra possiamo vedere che dobbiamo concedere il diritto di Global Administrator all'utente "Android" in questo modo è l'attuale amministratore, che attraverso questo servizio concede il ruolo ne tiene traccia e può eventualmente rimuoverlo senza problemi, nel momento in cui non più necessario.
Abbiamo inoltre settato delle notifiche, o meglio degli alert via email quando viene aggiunto, modificato qualcosa nel ruolo di Global Admin:


Lato utente finale invece avremmo l'esperienza seguente:

Basterà cliccare su Attiva ed il ruolo sarà assegnato, in questo caso all'utente "Android"


L'utente dovrà inserire una motivazione, per il ruolo e cliccare su attiva.
In questo modo possiamo "obbligare" tutti i global admin o un qualsiasi altro ruolo ad attivare l'MFA per accedere alle risorse aziendali, monitorare o concedere determinati ruoli solo per l'arco temporale che decidiamo, questo come detto in precedenza ci permette di ridurre notevolmente la superfice di attacco.

Tutte le immagini sono di Microsoft e sono di loro proprietà.